Claude Code On-Premise: Open Source? Was 2026 wirklich geht

Pexon Consulting | 9 Min. Lesezeit | 20.07.2026

TL;DR

Claude Code On-Premise läuft air-gapped nur über Amazon Bedrock in einer isolierten VPC, nicht auf eigener Hardware. Open Source ist Claude Code trotz sichtbarem Code nicht: Die Lizenz ist proprietär. Pexon baut souveräne Coding-Agents als 6-Wochen-Pilot, inklusive Model-Swap auf Open-Weight-Modelle für echte Datenhoheit.

Warum die Frage überhaupt aufkommt

Ihr Entwicklungsteam will Claude Code. Der Grund ist banal: Es ist mit rund 138.000 GitHub-Stars (Stand 19.07.2026) der meistgenutzte terminal-native Coding-Agent, und seit Claude Sonnet 5 als Default-Modell (ab v2.1.197) mit nativem 1M-Kontext liefert er Ergebnisse, die IDE-Plugins alt aussehen lassen.

Dann kommt die Compliance-Frage. Der Code, den Claude Code liest, ist Ihr Kronjuwel. Bei einer Bank, einem Versicherer oder einem KRITIS-Betreiber landet Quellcode nicht ungefragt bei einem US-Anbieter. Also googelt jemand „Claude Code Open Source“ und „Claude Code On-Premise“, findet ein Dutzend widersprüchliche Blogposts und GitHub-Repos, und die Verwirrung ist komplett.

Wir räumen das auf. Zwei Fragen, zwei ehrliche Antworten, und ein Weg, der wirklich souverän ist.

Ist Claude Code Open Source? Nein.

Die kurze Antwort: Nein. Claude Code ist source-available, nicht Open Source. Der Unterschied ist die Lizenz, nicht die Sichtbarkeit des Codes. Seit dem 31.03.2026 ist der TypeScript-Quellcode öffentlich einsehbar (erst über versehentlich mitgelieferte .map-Dateien im npm-Paket, dann im offiziellen Repo), aber „man kann reingucken“ ist kein Open Source.

Ein Blick in die LICENSE.md des offiziellen Repos anthropics/claude-code beendet die Debatte:

Das ist proprietär. Keine MIT-, keine Apache-Lizenz, kein Recht zum freien Forken für den kommerziellen Eigenbetrieb. Die dutzenden Repos, die unter Namen wie „openclaude“ oder „open-claude-code“ auftauchen, sind Third-Party-Reverse-Engineering-Forks und Decompiles. Sie sind nicht das offizielle Produkt, und wer sie im Unternehmen einsetzt, baut auf rechtlich wackligem Grund.

Unsere klare Empfehlung: Nennen Sie Claude Code intern nie „Open Source“. Wenn Ihre Beschaffung oder Ihr Datenschutzbeauftragter das Wort im Vertrag liest und es später auffliegt, haben Sie ein Problem, das Sie sich sparen können. Sagen Sie source-available, das ist korrekt.

Claude Code On-Premise: Was wirklich geht

Air-gapped Betrieb von Claude Code ist möglich, aber „On-Premise“ bedeutet hier etwas anderes, als die meisten erwarten. Sie können Claude Code so konfigurieren, dass keine Verbindung zu api.anthropic.com mehr nötig ist. Die Inferenz läuft dann über Amazon Bedrock innerhalb Ihrer eigenen VPC, abgeschottet über VPC-Endpoints (PrivateLink).

So sieht die Konfiguration für einen abgeschotteten Bedrock-Betrieb aus:

# Claude Code auf Bedrock umleiten (kein Traffic zu api.anthropic.com)
export CLAUDE_CODE_USE_BEDROCK=1
export AWS_REGION=eu-central-1

# Modell-ID der Bedrock-Region (z.B. Opus 4.8 Inference Profile)
export ANTHROPIC_MODEL='eu.anthropic.claude-opus-4-8-v1:0'

# Telemetrie, Auto-Updates und Error-Reporting hart abschalten
export CLAUDE_CODE_DISABLE_NONESSENTIAL_TRAFFIC=1

# Auth per IAM Instance Profile statt API-Keys
claude

Zwei Details entscheiden über Sauberkeit oder Datenleck. Erstens: CLAUDE_CODE_DISABLE_NONESSENTIAL_TRAFFIC=1 ist Pflicht. Claude Code telefoniert sonst für Update-Checks, Telemetrie und Fehlerberichte nach Hause, auch wenn die Inferenz über Bedrock läuft. In einer air-gapped Umgebung fliegt der Prozess ohne diese Variable auf die Nase oder leakt Metadaten. Zweitens: Nutzen Sie ein IAM Instance Profile statt API-Keys. Damit verschwindet die Schlüsselverwaltung, und niemand kopiert versehentlich ein Credential in ein Git-Repo.

Seit dem 29.06.2026 gibt es dafür auch die offizielle Antwort von Anthropic: die self-hosted Claude apps gateway. Das ist ein zustandsloser Container mit PostgreSQL im Rücken, der SSO (Entra ID, Okta), zentrale Policies, Spend-Caps pro Team und automatisches Failover zwischen Bedrock, Vertex AI und Microsoft Foundry bündelt. Für ein Enterprise-Rollout ist das der richtige Kontrollpunkt, weil Sie damit pro Entwickler kurzlebige SSO-Sessions statt dauerhafter Cloud-Credentials ausrollen.

Der Haken: Bedrock-VPC ist nicht Ihr Rechenzentrum

Hier trennt sich Marketing von Realität. Bedrock in einer isolierten VPC heißt: Ihre Daten verlassen nicht das offene Internet, und die Inferenz bleibt in der von Ihnen gewählten AWS-Region, etwa eu-central-1 in Frankfurt. Das ist deutlich besser als der Direktweg über die Anthropic-API. Aber es ist nicht dasselbe wie „das Modell läuft auf unserem Blech“.

Amazon ist ein US-Unternehmen. Der US CLOUD Act erlaubt US-Behörden unter bestimmten Bedingungen Zugriff auf Daten, die von US-Anbietern verarbeitet werden, unabhängig vom Speicherort. Für einen §203-StGB-Berufsgeheimnisträger, einen BaFin-regulierten Betrieb oder einen KRITIS-Energieversorger ist die relevante Frage nicht „liegt es in Frankfurt“, sondern „wer kann rechtlich darauf zugreifen“. Bedrock-VPC schließt diese Lücke nicht restlos.

Wir sehen das in unseren Projekten regelmäßig: Teams glauben, mit dem Bedrock-VPC-Setup sei die Souveränitätsfrage erledigt, und die Rechtsabteilung kassiert das Ganze sechs Wochen vor Go-Live. Wenn echte Datenhoheit gefordert ist, reicht die Bedrock-Region nicht. Dann muss das Modell selbst unter Ihrer Kontrolle laufen, und das geht mit Claude prinzipbedingt nicht: Die Gewichte von Claude sind nicht veröffentlicht. Mehr Kontext dazu liefert unsere Übersicht zur Datensouveränität bei KI-Plattformen.

Die ehrliche Alternative: Model-Swap auf Open-Weight

Wenn das Modell auf Ihrer eigenen GPU laufen muss, tauschen Sie nicht das Tool, sondern das Gehirn. Claude Code spricht das Messages-API-Protokoll. Über die Variable ANTHROPIC_BASE_URL zeigen Sie es auf einen lokalen Gateway (LiteLLM oder den Open-Source Claude Code Router), der die Anfragen an ein selbst gehostetes Open-Weight-Modell weiterreicht, etwa via Ollama oder vLLM.

# Claude Code CLI auf lokalen LiteLLM-Proxy zeigen
export ANTHROPIC_BASE_URL='http://litellm.internal:4000'
export ANTHROPIC_AUTH_TOKEN='sk-intern-nur-im-cluster'

# LiteLLM routet auf ein On-Prem Open-Weight-Modell (Ollama/vLLM)
# model_list in config.yaml:
#   - model_name: claude-code-local
#     litellm_params:
#       model: ollama/qwen3-coder:32b
#       api_base: http://ollama.internal:11434
claude --model claude-code-local

Damit läuft der Agent, das Tooling und die Kontextverwaltung von Claude Code, aber die Inferenz bleibt zu 100 Prozent in Ihrem Rechenzentrum. Kein Byte Quellcode verlässt das Haus. Details zum Gateway-Setup stehen in unserer LiteLLM-Anleitung für ein sicheres Enterprise-Setup.

Der Trade-off ist real, und wir verkaufen ihn nicht schön: Ein On-Prem Open-Weight-Coder wie Qwen3-Coder erreicht bei komplexen Refactorings nicht die Qualität von Claude Opus 4.8. Sie tauschen die letzten 15 bis 25 Prozent Modell-Qualität gegen vollständige Datenhoheit. Für ein reguliertes Umfeld ist dieser Tausch oft richtig. Für ein Werbeagentur-Team wäre er Geldverschwendung. Die Entscheidung hängt an Ihrer Regulatorik, nicht an der Technik.

Kosten und Betrieb im Überblick

Die drei Wege kosten unterschiedlich, und der günstigste im Einkauf ist selten der günstigste im Betrieb. Ein realistischer Rahmen für ein 30-Entwickler-Team:

Die On-Prem-Variante hat hohe Fixkosten für GPU-Hardware und Betrieb, aber keine variablen Token-Kosten. Ab einem gewissen Nutzungsvolumen dreht die Rechnung, und der eigene Cluster ist günstiger als die nutzungsbasierte Cloud-Rechnung. Wichtiger als der Break-even ist bei regulierten Kunden aber ohnehin die Compliance: Wer §203 oder DORA erfüllen muss, rechnet die Cloud-Variante gar nicht erst durch.

Worauf Sie bei der Auswahl achten sollten

Fünf Punkte entscheiden, welcher Weg zu Ihnen passt:

1. Regulatorik zuerst: §203 StGB, DORA, BAIT oder KRITIS im Spiel? Dann fällt die reine API-Variante sofort raus.
2. Rechtliche Datenhoheit versus geografische: Reicht „Region Frankfurt“ oder braucht die Rechtsabteilung „kein US-Zugriff möglich“?
3. Modell-Qualität als Muss oder Kann: Braucht Ihr Team Claude-Opus-Niveau, oder reicht ein starkes Open-Weight-Modell?
4. Betriebsreife: Haben Sie ein Platform-Team, das einen GPU-Cluster und eine self-hosted Gateway betreibt?
5. Governance: SSO, Audit-Logs und Spend-Caps sind kein Nice-to-have, sondern der Grund, warum ein Rollout die Freigabe bekommt.

Häufig gestellte Fragen

Ist Claude Code Open Source?

Nein. Der Quellcode ist seit März 2026 öffentlich einsehbar, aber die Lizenz im offiziellen Repo ist proprietär („© Anthropic PBC. All rights reserved.“). Das ist source-available, nicht Open Source. Freies kommerzielles Forken ist nicht erlaubt. Repos mit „open“ im Namen sind Third-Party-Reverse-Engineering-Projekte, nicht das offizielle Produkt.

Kann ich Claude Code komplett On-Premise ohne Cloud betreiben?

Mit dem Claude-Modell selbst nicht, weil dessen Gewichte nicht veröffentlicht sind. Air-gapped in einer AWS-VPC über Bedrock geht. Vollständig auf eigener Hardware geht nur, wenn Sie das Modell tauschen: Claude Code CLI plus LiteLLM oder Claude Code Router plus ein Open-Weight-Modell wie Qwen3-Coder auf Ollama oder vLLM.

Bleiben meine Daten bei Claude Code über Bedrock in Deutschland?

Die Inferenz bleibt in der gewählten AWS-Region, etwa Frankfurt. Geografisch also ja. Rechtlich ist Amazon ein US-Anbieter und unterliegt dem CLOUD Act. Für Berufsgeheimnisträger und KRITIS-Betreiber ist das der entscheidende Unterschied, den ein VPC-Setup allein nicht auflöst.

Was kostet ein souveränes Claude-Code-Setup?

Ein Bedrock-VPC-Setup mit Gateway liegt bei 15.000 bis 40.000 EUR Einrichtung plus laufender Bedrock- und AWS-Kosten. Eine echte On-Prem-Lösung mit Open-Weight-Modell startet bei 25.000 bis 60.000 EUR, hat dafür keine Token-Kosten, aber GPU- und Betriebsaufwand. Die genaue Zahl hängt an Teamgröße und Modell.

Bedrock-VPC oder Open-Weight On-Prem: Was ist besser?

Kommt auf Ihre Regulatorik an. Wenn geografische Datenhaltung reicht und Sie Claude-Qualität wollen, ist Bedrock-VPC der pragmatische Weg. Wenn rechtliche Datenhoheit Pflicht ist, führt kein Weg an einem selbst gehosteten Open-Weight-Modell vorbei, mit dem bewussten Trade-off etwas geringerer Modell-Qualität.

Nächster Schritt

Sie evaluieren gerade, ob und wie Ihr Team Claude Code compliant einsetzen darf? Wir klären in einem kurzen Gespräch, welcher der drei Wege zu Ihrer Regulatorik passt, bevor Sie Zeit in ein Setup stecken, das die Rechtsabteilung später kassiert.

Verwandte Themen